Las traducciones son generadas a través de traducción automática. En caso de conflicto entre la traducción y la version original de inglés, prevalecerá la version en inglés.
Multi-Region replicación para grupos de usuarios
Con la replicación multirregional (MRR), puede crear un grupo de usuarios de réplica adicional Región de AWS para proporcionar capacidades de continuidad empresarial y recuperación ante desastres para su infraestructura de autenticación. Con el MRR, los usuarios registrados pueden seguir autenticándose con sus aplicaciones incluso cuando pierdan la conectividad con los recursos de una región, lo que garantiza que sus aplicaciones permanezcan disponibles.
Al configurar MRR, Amazon Cognito crea grupos de usuarios independientes con un ID de grupo de usuarios compartido. Cada grupo de usuarios de réplicas aloja servicios de autenticación para un directorio de usuarios compartido. El grupo de usuarios principal sirve como fuente autorizada para la configuración administrativa y las operaciones de escritura, como el restablecimiento de contraseñas y el registro de usuarios. Los grupos de usuarios secundarios no pueden crear usuarios. Heredan la mayoría de los ajustes del grupo de usuarios principal y, en un estado de conmutación por error, pueden gestionar las operaciones de autenticación, como el inicio de sesión de los usuarios y la generación de tokens.
importante
Multi-Region la replicación no está disponible para todos los grupos de usuarios en este momento. Multi-Region la replicación requiere una infraestructura moderna de Amazon Cognito con capacidades y escalabilidad mejoradas. Algunos grupos de usuarios aún se encuentran en una infraestructura anterior y se actualizarán AWS a la nueva infraestructura, que desbloqueará esta función. En la consola de Amazon Cognito, los grupos de usuarios aptos muestran opciones de configuración de replicación multirregional y los grupos no aptos muestran mensajes de excepción. Para obtener más información, consulte Amazon Cognito que ofrece capacidades avanzadas con una infraestructura de próxima generación en el blog de seguridad.
Lo que debe saber sobre la replicación multirregional
-
Multi-Region la replicación tiene costos adicionales independientes y requiere que su grupo de usuarios esté incluido en el plan de funciones Essentials o Plus. No puede habilitar la MRR en los grupos de usuarios con el plan de funciones Lite.
-
Debe configurar su grupo de usuarios con una clave multirregional administrada por un cliente desde AWS KMS antes de habilitar la replicación. La clave debe estar disponible en todos los Regiones de AWS que tengan réplicas de grupos de usuarios. Para obtener más información, consulte Cifrado de datos.
-
Para que la validación de los tokens sea uniforme en todas las regiones, le recomendamos que configure su grupo de usuarios con un emisor actualizado. Para obtener más información, consulte Grupos de usuarios de Amazon Cognito como emisores de OIDC.
-
Los nuevos grupos de usuarios secundarios comienzan en el
INACTIVEestado. Revise y configure los ajustes regionales antes de activar el grupo de usuarios para su uso en producción. -
Las configuraciones regionales pueden diferir entre las réplicas. Puede configurar los siguientes ajustes de forma independiente en las réplicas. Todas las demás configuraciones se establecen en el grupo de usuarios principal y se sincronizan automáticamente con el secundario.
-
Configuración de correo electrónico
-
Configuración del correo electrónico para las notificaciones de protección contra amenazas
-
Configuración de SMS
-
Disparadores de Lambda
-
Tags
-
Configuración de exportación de registros
-
AWS WAF ACL web
-
-
La replicación de datos entre regiones puede provocar breves retrasos. El grupo de usuarios principal sincroniza la configuración y las actualizaciones del directorio de usuarios con el secundario y, en última instancia, este proceso es uniforme.
Limitaciones de la replicación multirregional
-
No puede generar nuevos usuarios en grupos de usuarios secundarios, ya sea mediante el registro o mediante la creación de un administrador. Los usuarios federados solo pueden iniciar sesión en un grupo de usuarios secundario en estado de conmutación por error si ya han iniciado sesión en el grupo de usuarios principal.
-
Los usuarios no pueden restablecer sus contraseñas ni modificar sus perfiles en los grupos de usuarios secundarios. En un estado de conmutación por error, deshabilite estas operaciones en la interfaz de usuario y hágalas disponibles una vez que la comprobación de estado restablezca el acceso al grupo de usuarios principal.
-
Puede tener como máximo una réplica secundaria en una región adicional por directorio de usuarios. Cualquier grupo de usuarios que cumpla los requisitos puede tener una réplica secundaria.
-
La MFA TOTP no se admite en las réplicas secundarias. Los usuarios con la MFA TOTP configurada deben autenticarse cuando el grupo de usuarios de la región principal atienda las solicitudes.
-
El recuento de intentos de autenticación basados en contraseñas antes del bloqueo no se sincroniza en todas las regiones. Cada réplica mantiene su propio recuento de intentos de autenticación fallidos.
Configuración de la replicación multirregional
Antes de poder habilitar la replicación multirregional, asegúrese de que su grupo de usuarios cumpla los requisitos previos: un plan de funciones Essentials o Plus y una clave de KMS multirregional administrada por el cliente.
Operaciones de API compatibles en regiones secundarias
Amazon Cognito admite un subconjunto de operaciones de API en regiones secundarias. Las operaciones disponibles dependen del estado de la réplica. Las réplicas en INACTIVE estado admiten un conjunto limitado de operaciones de lectura y configuración. Las réplicas en ACTIVE estado admiten operaciones adicionales de autenticación y administración de sesiones. Las operaciones que no figuran aquí solo están disponibles en la región principal.
Operaciones para regiones secundarias INACTIVAS
Los grupos de usuarios de réplicas en regiones secundarias en INACTIVE estado permiten las siguientes operaciones de la API de Amazon Cognito.
Operaciones adicionales para las regiones secundarias ACTIVAS
Los grupos de usuarios de réplicas en regiones secundarias en ACTIVE estado permiten todas las operaciones anteriores, además de las siguientes operaciones de autenticación y administración de sesiones.
Conmutación por error en grupos de usuarios multirregionales
Con los grupos de usuarios multirregionales, puede conmutar por error el inicio de sesión administrado, el inicio de sesión federado y las llamadas directas a la API entre dos. Regiones de AWS El inicio de sesión administrado y la conmutación por error por federación están disponibles con un dominio personalizado o un dominio de prefijo (Cognito) configurado con tu grupo de usuarios. No puedes configurar un dominio personalizado diferente con grupos de usuarios de réplicas.
Conmutación por error para gestionar el inicio de sesión, la federación y la autorización de máquina a máquina
La conmutación por error está disponible cuando el grupo de usuarios principales tiene un dominio personalizado o un dominio con prefijo. Uso del dominio de prefijo de Amazon Cognito para el inicio de sesión administrado El dominio de tu grupo de usuarios sirve a los recursos de OAuth 2.0, incluidos los puntos finales autorizados y simbólicos, y gestiona las respuestas de los IdP de proveedores de federación externos, como OIDC, SAML y los proveedores sociales.
Para habilitar la conmutación por error, configure una comprobación de estado en Route 53 y defina el campo en su dominio. Routing Tú determinas qué desencadena un estado en buen estado o en mal estado. Cuando el estado de la comprobación no es correcto, Amazon Cognito envía las páginas de inicio de sesión administradas y las operaciones de autenticación desde el grupo de usuarios de la réplica secundaria. Cuando la comprobación de estado pasa a un estado correcto, Amazon Cognito comienza a redirigir el tráfico de vuelta a la réplica principal.
El registro DNS de su dominio personalizado puede usar Route 53 o cualquier proveedor de DNS externo. Asegúrese de tener un registro CNAME válido en su proveedor de DNS que apunte al alias de destino, que es una CloudFront distribución. Puede encontrar el alias de destino en la página de dominio de la consola de Amazon Cognito.
Para actualizar el ID de verificación de estado en la consola
-
Inicie sesión en la consola de Amazon Cognito
. -
Seleccione Grupos de usuarios y, a continuación, elija su grupo de usuarios.
-
En el menú, selecciona Dominio en Marca.
-
En la sección Dominio personalizado, elige la opción de edición y selecciona Editar conmutación por error multirregional.
-
Activa la opción Habilitar la conmutación por error multirregional.
-
Seleccione su ID de comprobación de estado de Route 53 entre las comprobaciones de estado disponibles.
-
Seleccione Save changes (Guardar cambios).
Conmutación por error para las API y los SDK de Amazon Cognito
Si utiliza las API o los SDK de Amazon Cognito, no se utilizará ningún dominio personalizado y su aplicación es responsable de dirigir el tráfico al punto de enlace regional del servicio Amazon Cognito para gestionar la autenticación y otras llamadas a la API.
Si solo tiene una interfaz de aplicación que utiliza un cliente público, como una aplicación de una sola página (SPA) o una aplicación móvil, su aplicación debe ser dinámica para enrutar las llamadas a la API en consecuencia. Considere la posibilidad de utilizar un backend de aplicaciones sin servidor para ayudar a determinar por qué región debe comenzar la autenticación con Amazon Cognito.
Si tiene una aplicación con un backend, aquí puede determinar la lógica para determinar con qué grupo de usuarios autenticarse.
Si utiliza tanto puntos de enlace de inicio de sesión gestionados como API, utilice la misma comprobación de estado de Route 53 para determinar a qué región dirige su aplicación las llamadas a la API de Amazon Cognito.
